Graylog Web Interface – Sitzungs-IDs werden nach erneuter Anmeldung nicht ungültig

Beschreibung

In der Weboberfläche von Graylog (Version 2.2.3) werden zuvor ausgegebene Sitzungs-IDs nach einer erneuten Anmeldung nicht ungültig gemacht. Bei jeder Authentifizierung wird zwar eine neue sessionId erzeugt, alte Kennungen bleiben jedoch gültig. Ein gestohlener oder geleakter sessionId lässt sich damit weiterhin für gültige Anfragen verwenden; ein Angreifer mit Netzzugang zum Web-/API-Dienst (Port 9000 bzw. HTTP/S-Endpunkt) kann so unbefugten Zugriff erlangen und die Integrität des betroffenen Kontos beeinträchtigen. CVSS-Basiswert: 9.8 (Kritisch).

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Graylog

• CVE-2025-53106 – Rechteausweitung über API-Tokens in Graylog CVE-2025-53106
• Graylog – Ausführung beliebigen Codes über Klassen-Instanziierung CVE-2024-24824
• Graylog – Diebstahl von Session-Cookies über Event-Definition-Felder CVE-2025-46827
• Graylog – Fehlende Berechtigungsprüfung im Event-Duplicate-Endpunkt CVE-2026-65011